Binance a confirmé vendredi que des attaquants avaient volé environ 6,3 milliards de dollars sur plusieurs blockchains, dans ce que l'exchange a décrit comme le plus grand vol de l'histoire des cryptomonnaies. La société s'est engagée à couvrir toutes les pertes.

Sur la seule Ethereum, environ 2,5 milliards de dollars ont été siphonnés d'un portefeuille Binance en moins de quatre minutes grâce à la fonctionnalité EIP-7702 du réseau, et environ 3 milliards de dollars des actifs concernés ont depuis été gelés.

L'exchange a déclaré que son enquête initiale suggérait que l'incident de sécurité pouvait impliquer un ordinateur portable compromis, mais qu'une enquête ultérieure a mis en évidence d'autres points d'intrusion.

Investigation update: Our initial investigation suggested that the security incident may have involved a compromised laptop, however our subsequent investigation has uncovered additional points of breach. This was a complex attack, and we are doing all we can in coordination… pic.twitter.com/FQQ3vKT6GU

— Binance (@binance) October 30, 2026

Un siphonnage de quatre minutes sur Ethereum

L'attaquant a utilisé EIP-7702, une fonctionnalité déployée en mai 2025 dans le cadre de la mise à jour Pectra d'Ethereum, pour déplacer environ 2,5 milliards de dollars en ether et en tokens hors d'un portefeuille Binance en moins de quatre minutes jeudi.

La plupart des portefeuilles Ethereum sont contrôlés par une clé privée unique et ne peuvent pas imposer de règles telles que des limites de dépense. EIP-7702 permet à un portefeuille ordinaire d'emprunter le code d'un contrat intelligent en signant un court message appelé autorisation. Cette fonctionnalité a été conçue pour aider les portefeuilles à regrouper les paiements et à permettre à des tiers de couvrir les frais de transaction.

Dans les semaines qui ont suivi le déploiement de la mise à jour, la société de trading Wintermute a constaté que la plupart des délégations initiales pointaient vers des scripts « sweeper » — des programmes qui transfèrent les fonds d'un portefeuille vers un voleur — un signe précoce que la fonctionnalité était détournée à des fins de vol.

How the Binance hack worked: The attacker exploited EIP-7702 – an Ethereum Pectra upgrade That lets a regular wallet temporarily act as a smart contract with a valid private key signature. Hacker pre-collected 50 EIP-7702 authorizations with sequential nonces Not knowing the… pic.twitter.com/Cq5lv8Qwc7

— philarekt (@philarekt) October 29, 2026

Comment l'attaque s'est déroulée

L'attaquant a commencé à approvisionner son portefeuille principal via Tornado Cash, un service de mixage de cryptomonnaies, à partir de mercredi. Il a testé son plan sur ses propres portefeuilles et déployé un contrat sweeper vers 16 h 00 UTC jeudi, configuré de sorte que seul le portefeuille de l'attaquant puisse l'utiliser.

À 20 h 20 UTC, l'attaquant a envoyé une seule transaction contenant 50 autorisations. Chacune était signée par un portefeuille étiqueté « Binance 14 » sur Etherscan et portait une valeur de compteur de transaction différente, ou nonce, afin que l'une d'elles corresponde au fur et à mesure que le portefeuille effectuait des retraits. Ethereum a accepté l'autorisation numérotée 18 914 809 et ignoré les 49 autres.

À 20 h 24 UTC, l'attaquant a déplacé environ 167 464 ETH et 63 tokens, dont environ 1,6 milliard de USDT. D'autres dépôts de clients ont été siphonnés du portefeuille à 21 h 04 et 21 h 44 UTC. Selon TRM Labs, l'attaquant a également utilisé le portefeuille pour ordonner à un autre portefeuille Binance d'envoyer 823 millions de USDC. L'autorisation n'a été révoquée qu'à 00 h 10 UTC vendredi — près de quatre heures après la transaction initiale.

Le vol a dépassé le cadre d'Ethereum

L'opération ne s'est pas limitée à Ethereum. L'attaquant a également déplacé 18 270 bitcoins, des centaines de millions de XRP et des fonds sur Solana et Tron. Ces réseaux n'utilisent pas EIP-7702, et les fonds sont partis par des transferts signés ordinaires, a indiqué TRM Labs.

L'enquête pointe vers un ordinateur compromis

Le co-CEO de Binance, Richard Teng, a déclaré que les premiers constats pointaient vers l'ordinateur portable compromis d'un ingénieur DevOps. Il a précisé que l'attaque n'avait pas été une simple action « en un clic » et qu'aucune preuve n'indiquait une fuite des clés privées.

Binance a ensuite indiqué que les enquêteurs avaient découvert d'autres points d'intrusion, mais la société ne les a pas nommés ni expliqué comment l'attaquant avait obtenu les signatures.

Les sociétés de sécurité s'expriment

Les sociétés de sécurité ont déclaré que la mise à jour n'avait pas causé le piratage, mais qu'elle avait pu aider les attaquants à contourner certaines vérifications. Ido Ben-Natan, PDG de la société de sécurité Blockaid, a indiqué que les attaquants auraient pu voler les fonds sans EIP-7702, mais que la fonctionnalité leur avait permis de le faire en une seule opération et avait pu aider à contourner certaines vérifications. Ivo Georgiev, PDG du fournisseur de portefeuilles Ambire, a offert une appréciation contrastée, estimant que la fonctionnalité avait peu d'importance car les pirates pouvaient déjà autoriser des transactions.

Comme l'opération impliquait également des transferts signés ordinaires sur des réseaux n'utilisant pas EIP-7702, l'incident ne démontre pas que la fonctionnalité Ethereum explique à elle seule l'intégralité du vol. Les points d'intrusion supplémentaires et le chemin d'attaque encore non publié laissent la portée des éventuelles mesures de sécurité indéterminée.

Binance s'engage à couvrir les pertes

Binance a déclaré qu'environ 3 milliards de dollars des actifs concernés avaient été gelés. L'exchange prévoit d'utiliser son fonds d'urgence SAFU et ses propres fonds pour couvrir les pertes. Le chemin complet de l'attaque n'a pas été publié. Les prochains éclairages dépendront de l'enquête de Binance, y compris une explication des points d'intrusion supplémentaires et de la manière dont les signatures ont été obtenues.